CVE-2017-2773
KrytyczneStreszczenie
W Pivotal PCF Elastic Runtime występuje problem z niekompletną walidacją w bibliotekach JSON Web Token (JWT), co pozwala nieuprzywilejowanym atakującym na podszywanie się pod innych użytkowników w różnych komponentach. Dotyczy to wersji 1.6.x przed 1.6.60, 1.7.x przed 1.7.41, 1.8.x przed 1.8.23 oraz 1.9.x przed 1.9.1.
Ocena ryzyka
Organizacja może być narażona na ataki, w których nieautoryzowani użytkownicy mogą uzyskać dostęp do danych innych użytkowników, co prowadzi do naruszenia prywatności i bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Pivotal PCF Elastic Runtime do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych mechanizmów zabezpieczających w celu ochrony przed nieautoryzowanym dostępem.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Pivotal PCF Elastic Runtime 1.6.x versions prior to 1.6.60, 1.7.x versions prior to 1.7.41, 1.8.x versions prior to 1.8.23, and 1.9.x versions prior to 1.9.1. Incomplete validation logic in JSON Web Token (JWT) libraries can allow unprivileged attackers to impersonate other users in multiple components included in PCF Elastic Runtime, aka an "Unauthenticated JWT signing algorithm in multiple components" issue.